CentOS 7.4 new spectre 패치

3월 5일경에 CentOS 7.4 의 새로운 커널이 출시 되었습니다.

새로 출시된 3.10.0-693.21.1.el7.x86_64 커널의 특징은 google의 spectre retpoline 패치를 반영했다는 것입니다.

처음 meltdown, spectre 버그가 발표 되었을 당시에만 해도, spectre 패치의 성능 저하는 거의 없고, meltdown 의 패치로 인한 성능 저하가 엄청나다라고 알려졌었습니다.

하지만, 실제 테스트 결과로는 spectre 버그의 ibrs 패치가 엄청난 성능 저하를 발생 시키는 것으로 다시 알려 졌습니다.

3.10.0-693.21.1.el7.x86_64 커널에 포함된 retpoline 패치는 제 빌드 서버에서의 테스트로는 손실을 거의 경감 시켜주는 듯 싶습니다.

또한, retpoline 의 장점은, spectre patch 가 동작하기 위해서는 cpu의 microcode 도 같이 업데이트가 되어야 하는데, 오래된 cpu는 지원될 가능성이 희박하고, 지원하더라도 시일이 꽤 걸리게 되는데, retpoline patch는 이 microcode udpate와 관련 없이 동작을 한다는 점입니다.

단, skylake cpu 에서는 충분한 보안이 되지 않아서 ibrs 를 기본값으로 동작하게 해 놓았다고 하네요.

자세한 사항은 https://access.redhat.com/articles/3311301 영문 문서를 참고 하십시오. (일문 문서는 아직 업데이트 되지 않았습니다.)

그리고, 3.10.0-693.21.1.el7.x86_64 커널을 사용하기 위해서는 libgcc 도 같이 업데이트 되어야 합니다.

P.S.
아쉽게도.. CentOS 6.x 에 대한 retpoline patch는 출시되지 않았습니다. 지원해줄지 미정입니다.